WORM_ACKANTTA.C

Este malware infiltra copias de sí mismo en todas las unidades extraíbles. Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\AdobeAQM.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• AdobeAQM.exe{random characters}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Adobe Updater 7.2 = "%System%\AdobeAQM.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\AdobeARM7

HKEY_LOCAL_MACHINE\SOFTWARE\AdobeARM7

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
gnome1ass = "12"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
gnome2ass = "22"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\AdobeAQM.exe = "%System%\AdobeAQM.exe:*:Enabled:Explorer"

Propagación

Crea las carpetas siguientes en todas las unidades extraíbles:

• {drive letter}:\RECYCLER
• {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542

Infiltra una copia de sí mismo en las carpetas siguientes que usan las redes de igual a igual (P2P):

• %Program Files%\icq\shared folder
• %Program Files%\grokster\my grokster
• %Program Files%\emule\incoming
• %Program Files%\morpheus\my shared folder
• %Program Files%\limewire\shared
• %Program Files%\tesla\files
• %Program Files%\winmx\shared
• %System Root%\Downloads
• Kazaa Download Directory
• DC++ Download Directory
• Frostwire Download Directory

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Busca en la red las siguientes redes compartidas en las que intenta crear copias de sí mismo:

• C$
• D$
• E$
• admin$

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645645927-702000330-1542\autorun.exe

Este malware infiltra copias de sí mismo en todas las unidades extraíbles.

Usa los siguientes nombres de archivo para las copias que infiltra en las redes compartidas:

• CCleaner.exe
• Firefox.exe
• KB.exe
• LoveLetter.doc.exe
• Readme.exe
• Runme.exe
• WindowsUpdate.exe
• WorldOfWarcraft.exe
• banklogins.doc.exe
• cashflow.pdf.exe
• creditcards.xls.exe
• payroll.doc.exe
• salaries.txt.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Recopila las direcciones de correo de destino desde los archivos con las siguientes extensiones:

• .asp
• .dbx
• .doc
• .htm
• .log
• .lst
• .nfo
• .php
• .rtf
• .txt
• .wab
• .wpd
• .wps
• .xls
• .xml

Evita enviar mensajes de correo electrónico a direcciones que contienen las cadenas siguientes:

• abuse
• acd-group
• acdnet.com
• acdsystems.com
• acketst
• admin
• ahnlab
• alcatel-lucent.com
• anyone
• apache
• arin.
• avg.comsysinternals
• avira
• badware
• berkeley
• bitdefender
• bluewin.ch
• borlan
• bpsoft.com
• buyrar.com
• certific
• cisco
• clamav
• contact
• debian
• drweb
• eset.com
• example
• f-secure
• firefox
• ghisler.com
• gold-certs
• honeynet
• honeypot
• ibm.com
• icrosoft
• idefense
• ikarus
• immunityinc.com
• inpris
• isc.o
• isi.e
• jgsoft
• kaspersky
• kernel
• lavasoft
• linux
• linux
• listserv
• mcafee
• messagelabs
• mit.e
• mozilla
• mydomai
• nobody
• nodomai
• noone
• nothing
• novirusthanks
• ntivi
• nullsoft.org
• panda
• postmaster
• prevx
• privacy
• qualys
• quebecor.com
• rating
• redhat
• rfc-ed
• ruslis
• sales
• samba
• samples
• secur
• secur
• security
• security
• sendmail
• service
• slashdot
• somebody
• someone
• sopho
• sourceforge
• ssh.com
• submit
• sun.com
• support
• syman
• tanford.e
• the.bat
• usenet
• utgers.ed
• virus
• virusbuster
• webmaster
• websense
• winamp
• winpcap
• wireshark
• www.ca.com

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\adobeflv.exe - detected as TROJ_RENOS.BKE
• %System%\adobemkv.exe - detected as TROJ_HILOTI.FP

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.